eMudhra brugte tallet 4 som privat CA-nøgle, oplyser Cloudflare

Cloudflare oplyser, at certifikatudstederen eMudhra den 19. oktober 2026 viste sig at have brugt overraskende svage private nøgler i otte mellemliggende certifikater. I stedet for et tal på 115 cifre var en af nøglerne simpelthen tallet 4. De øvrige syv nøgler var 56, 66, 115, 155, 156, 230 og 237. Fordi nøglerne er så små, kan hvem som helst udregne dem ud fra de offentlige certifikater og dermed udstede falske certifikater til vilkårlige domæner, hvis en klient ikke håndhæver Certificate Transparency. eMudhra har meddelt, at virksomheden forlader markedet for offentlige certifikatudstedere og peger på en fejl i et script til nøglegenerering, som endnu ikke er offentliggjort. Cloudflare patchede straks sine Pingora-baserede udgående forbindelser til at afvise de svage nøgler og gennemførte på fire timer en AI-understøttet analyse af al relevant kildekode. Ifølge Cloudflare er alle højt prioriterede systemer nu rettet, mens et mindre antal sager med lav påvirkning stadig behandles.